upitnik pita kako bismo joj prijavili curenje podataka

Ovo pitanje se tiče procedure izvještavanja, ne obveze izvještavanja kod nadzornog tijela

Kupac ovdje pita kako funkcionira vaš proces rukovanja incidentima, a ne je li već jednom prijavljen a podatcima o kršenju podataka Autornosti za zaštitu podataka. Traženi odgovor je opis procesa: kako prepoznajete sigurnosni incident, koji se interno upozorenja daju, u kojem roku kupac sam dobija obavijest i preko kojeg kanala. To je upravo ono što bi trebalo postupka za sigurnosne incidente spadati ako za to već imate utvrđenu politiku.

Ako imate takav utvrđen proces, odgovor je obično "da": imate proceduru, osiguranu točku kontakta i dogovoreni rok izvještavanja prema kupcima čiji se podaci ili sustavi mogu biti pogođeni. Ako taj proces nedostaje, ili postoji samo usmeno, tada je "ne" ili "dijelom" faktički točan odgovor — obećanje da ćete to "ubuduće raditi" nije odgovor za danas. Obratite pozornost i na vezu s dobavljačima: ako se incident dogodio kod trećih strana koja radi za vas, to utječe na zahtjeve koje postavljate vlastitim dobavljačima, a neka pitanja s popisa posebno pitaju za to.

Zašto ovo pada pod članak 21 stavak 2

Procedure izvještavanja za incidente dio su deset mjera članka 21 stavka 2 Direktive NIS2 (Direktiva (EU) 2022/2555); točka b izričito spominje rukovanje incidentima. U Zakonu o kibernetskoj sigurnosti, nizozemskoj implementaciji koja stupaje na snagu 15. kolovoza 2026., dolazi ista obveza za subjekte koji spadaju pod taj zakon. ISO/IEC 27001 zahtjeva u Prilogu A sličnu dokumentaciju, u okviru kontrolnih mjera za upravljanje incidentima. Koja od triju za vas vrijedi ovisi o tome je li vaša poduzeća sama pod nekom od tih uredbi — to je drugačije pitanje od ovoga.